Gegenstand der Massnahmen ist nicht nur die EDV-gestützte, automatisierte, sondern auch jegliche Form der manuellen Datenbearbeitung. Bezüglich Art und Umfang der zu treffenden Massnahmen gilt das Verhältnismässigkeitsprinzip: Zufolge Art. 8 Abs. 2 VDSG sind insbesondere
Zweck, Art und Umfang der Datenbearbeitung sowie der gegenwärtige
Stand der Technik zu berücksichtigen und eine Einschätzung der möglichen Risiken für die betroffenen Personen vorzunehmen. Aufgrund der
nicht abschliessenden Aufzählung in vorgenannter Bestimmung können
und dürfen aber auch die Kosten der Massnahmen im Hinblick auf den
angestrebten Schutzzweck berücksichtigt werden.